情報セキュリティポリシー

第1条（目的）

本ポリシーは、合同会社コラレイトデザイン（以下「当社」という）が保有・取り扱う情報資産を保護し、事業活動を安定的に行うために、情報セキュリティに関する基本的な方針を定めるものです。情報セキュリティ上の脅威から、当社および利害関係者の利益を守り、信頼を確保することを目的とします。

第2条（適用範囲）

本ポリシーは、当社の役員、従業員（正社員、契約社員、パート・アルバイト、派遣社員、顧問を含む）、および当社の業務に従事する全ての者（以下「従業員等」という）が取り扱う、あらゆる情報資産に適用されます。また、外部委託先、協力会社などに対しても、本ポリシーを遵守するよう求めます。

第3条（情報資産の定義）

1. 情報資産
   当社が保有または管理する情報（顧客情報、取引先情報、営業情報、設計図面、ソフトウェア、データベース、電子メール、紙媒体資料など）および、それを扱うためのハードウェア、ソフトウェア、ネットワーク、サービスなどを含む一切の資産をいいます。
2. 機密情報
   当社が不特定または第三者に開示することを認めていない情報、あるいは業務上保護が必要とされる情報を指します。

第4条（基本方針）

1. 法令・規範の遵守
   当社は、情報セキュリティに関する国内外の法令や規範、ガイドラインを遵守し、適正な情報管理を行います。
2. 機密性・完全性・可用性の確保
   当社は、情報の機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）を確保するための適切な対策を講じます。
3. 経営者の責任
   当社の経営者は、情報セキュリティ対策を事業経営の重要課題と認識し、必要な経営資源を確保するとともに、積極的に推進および支援します。
4. リスクアセスメントの実施
   当社は、情報資産に対するリスクを継続的に洗い出し、評価し、適切な管理策を講じ、必要に応じて見直しを行います。
5. 教育・啓発
   当社は、従業員等に対し、情報セキュリティに関する教育・啓発活動を継続的に実施し、意識向上を図ります。
6. インシデント対応
   万一、情報セキュリティ上のインシデント（情報漏えい、システム障害、不正アクセス等）が発生した場合は、被害を最小限にとどめるための適切な対策を速やかに講じ、再発防止策を実施します。

第5条（情報セキュリティ管理体制）

1. 情報セキュリティ管理責任者（CISO 等）の設置
   当社は、情報セキュリティに関する統括責任者を任命し、管理体制を整えます。情報セキュリティ管理責任者は、全社のセキュリティ方針の策定や運用状況の監視・監査を行います。
2. 組織体制
   必要に応じて、情報セキュリティ委員会など組織横断的に対応できる機能を設置し、情報セキュリティ活動を計画・実行します。

第6条（人的セキュリティ）

1. 誓約書・契約書による秘密保持
   従業員等には、入社時・業務委託開始時などに秘密保持誓約書（NDA）を取り交わし、秘密情報の漏えい防止を徹底します。
2. 教育・研修
   従業員等がセキュリティポリシーを理解し遵守するよう、定期的な教育・研修を実施し、不審メール対策や標的型攻撃などの脅威に対応できるよう啓発します。
3. 退職・契約終了時の対応
   退職者・契約終了者に対して、会社貸与物の回収、アクセス権限の停止、退職後の秘密保持義務の確認を行い、情報漏えいリスクを低減します。

第7条（技術的セキュリティ）

1. アクセス制御
   情報資産へのアクセス権を適切に設定し、権限を最小限にとどめる（Need-to-Know、Least Privilege）原則を採用します。
2. ネットワーク・システムの防御
   ファイアウォールやウイルス対策ソフトウェアの導入、パッチ適用など、外部からの不正アクセスやマルウェアを防止するための対策を行います。
3. 暗号化・認証
   機密性の高いデータを取り扱う場合、通信経路やデータ保管領域において暗号化を行い、安全性を確保します。また、適切な認証方式を用いて不正利用を防止します。
4. バックアップ管理
   重要データのバックアップを定期的に取得し、災害や障害発生時に速やかにシステムを復旧できるようにします。

第8条（物理的セキュリティ）

1. 入退室管理
   オフィスやサーバールームなど、重要情報を保管する場所への立ち入りを制限し、カードキーやゲストバッジなどで適切に管理します。
2. 機器・媒体管理
   PC、サーバー、USBメモリなどの可搬型媒体には、暗号化やパスワード保護を行い、紛失や盗難による情報漏えいを防止します。

第9条（外部委託・再委託管理）

1. 委託先の選定・契約
   当社は、情報処理を外部に委託する場合、セキュリティレベルが十分であるかを評価し、秘密保持契約（NDA）の締結など必要な措置を講じます。
2. 監督・監査
   委託先のセキュリティ対策を定期的に確認し、問題があれば改善を求めるなど、適切な監督を行います。

第10条（インシデント対応）

1. インシデント発生時の報告・連絡・相談
   インシデントを発見した者は、速やかに情報セキュリティ管理責任者へ報告し、被害拡大防止策を講じます。
2. 原因究明と再発防止
   インシデントの原因を究明し、再発防止策を策定・実行します。必要に応じて、関係機関や顧客への報告を適切に行います。

第11条（監査・見直し）

1. 内部監査
   当社は、定期的に情報セキュリティに関する内部監査を実施し、本ポリシーや関連規程の遵守状況を確認します。
2. 見直しと継続的改善
   法令改正、社会情勢の変化、技術の進歩等に合わせて、本ポリシーを継続的に見直し、必要に応じて改訂します。

第12条（罰則）

本ポリシーおよび関連規程に違反した従業員等に対しては、就業規則や契約に基づき、懲戒処分や法的措置を含む適切な対応を行います。

第13条（お問い合わせ窓口）

本ポリシーに関するご質問や、セキュリティ上の懸念・インシデント報告などにつきましては、以下の窓口までご連絡ください。

【事業者名】合同会社コラレイトデザイン
【担当部署】IT管理部門
【住所】〒112-0001 東京都文京区白山2-22-20
【メールアドレス】contact@correlate.design

以上